/change_password는 pw라는 인자값만 넘겨받고, 사용자의 세션을 가져와
세션 스토리지에 저장되어있는 유저의 패스워드를 pw 인자값으로 변경하게 됩니다.

공격자가 /flag에 /flag?param=<img src="/change_password?pw=1"> 이런식으로 값을 넘기게 되면,

봇(코드 상에서 구현된 어드민)이 vuln?param=<img src="/change_password?pw=1"> 으로 접속하게 되고,
img 태그를 통해 /change_password에 pw=1로 파라미터를 전송하게 됩니다.

그렇게 되면 세션 스토리지에 있는 어드민의 패스워드는 pw=1 때문에 패스워드가 1로 바뀌게 되고,

공격자는 1이라는 패스워드를 이용해 어드민으로 로그인할 수 있게 됩니다.

flag라는 입력칸에 구문을 입력해서 직접 비밀번호를 바꾼 뒤에 로그인하는 걸로 구현이 되어 있는데
이는 그저 실습을 위해서 만들어졌기 때문인가용?

-> 맞습니다. 실제로는 이해하신대로 과정과 비슷하게 공격이 시행됩니다.